安全公告

网络安全预警通报

2023年第8期

网络与计算中心 2023年8月26日

【预警类型】 高危预警

【预警内容】

关于VMwareWorkstation和Fusion存在多个高危漏洞的预警通报

一、 漏洞概述

Workstation和Fusion都是美国威睿（VMware）公司的产品。VMware Workstation是一套虚拟机软件；Fusion是一套专用于在苹果机（Mac）上运行Windows应用程序的虚拟机软件。Workstation和Fusion中存在越界读取提权漏洞。攻击者可利用该漏洞在主机上执行代码。

二、漏洞详情

（一）VMware Workstation和Fusion远程代码执行漏洞（CVE-2023-20869）：由于VMware Workstation和Fusion的虚拟机共享主机蓝牙设备的功能中存在一个基于堆栈的缓冲区溢出漏洞，具有本地管理权限的攻击者利用该漏洞可在主机上运行虚拟机中的VMX进程执行任意代码。

（二）VMware Workstation和Fusion信息泄露漏洞（CVE-2023-20870）：由于VMware Workstation和Fusion的虚拟机共享主机蓝牙设备的功能中存在一个越界读取漏洞，具有本地管理权限的攻击者可利用该漏洞从虚拟机读取管理程序内存中包含的特权信息。

（三）VMware Fusion本地提权漏洞(CVE-2023-20871)：由于VMware Fusion的Raw Disk中存在一个本地权限提升漏洞，对主机系统具有读/写权限的攻击者可通过该漏洞进行权限提升，从而获得对主机系统的根访问权限。

（四）VMware Workstation和Fusion越界读/写漏洞(CVE-2023-20872)：由于VMware Workstation和Fusion中的SCSICD/DVD设备模拟中存在越界读/写漏洞，对连接了物理CD/DVD驱动器并配置为使用虚拟SCSI控制器的虚拟机具有访问权限的攻击者，可利用此漏洞在虚拟机的管理程序上执行任意代码

漏洞影响范围：

（一）CVE-2023-20869和CVE-2023-20870：

1、VMware Workstation 17.x系列<17.0.2；

2、VMware Fusion 13.x系列<13.0.2。

（二）CVE-2023-20871：

1、VMware Fusion 13.x系列<13.0.2。

（三）CVE-2023-20872：

1、VMware Workstation 17.x系列<17.0.1；

2、VMware Fusion 13.x系列<13.0.1。

三、处置建议

为确保重要网络系统安全，防止发生重大网络安全事件，请组织指导本部门、本行业、本辖区重点单位，排查相关软件使用情况，并在确保安全的前提下升级版本，下载链接分别为https://customerconnect.vmware.com/downloads/info/slug/desktop_end_user_computing/vmware_workstation_pro/17_0和https://customerconnect.vmware.com/downloads/info/slug/desktop_end_user_computing/vmware_fusion/13_0。同时，加强安全监测，发生重大网络安全事件要及时报告上级主管部门和属地公安机关网安部门。

内容 | 李昌

编辑 | 刘丹

审核 | 刘畔